Cyberbezpieczeństwo stanowi dla Grupy PZU kluczowy temat z uwagi na rosnące znaczenia tego zagadnienia w sektorze finansowym i ubezpieczeniowym. Odpowiednie zabezpieczenie systemów jest nie tylko koniecznością regulacyjną, ale również fundamentem zaufania klientów i inwestorów.
Uwzględnienie cyberbezpieczeństwa jako jednego z dodatkowych tematów było poprzedzone szczegółową oceną istotności w kontekście działalności Grupy PZU. Wyniki tej analizy jednoznacznie wskazały ten temat, jako nie tylko istotny, ale także pokryty w niewystarczającym stopniu przez obowiązujące wymagania ujawnień ESRS.
W związku z powyższym, w zakresie oceny podwójnej istotności, Grupa PZU wskazuje cyberbezpieczeństwo jako kwestię mającą rzeczywisty i potencjalnie pozytywny wpływ na operacje własne. Ze względu na zaawansowane systemy zarządzania cyberbezpieczeństwem oraz kompleksowe procedury w Grupie PZU, identyfikujemy pozytywny wpływ na cały sektor cyberbezpieczeństwa, przez podnoszenie się kompetencji całego rynku. Jednocześnie, sam temat może nieść za sobą potencjalne ryzyko dla operacji własnych. Grupa PZU jest świadoma ryzyk płynących z zagrożeń cybernetycznych, mogących wpłynąć na bezpieczeństwo danych klientów jak i ogólną stabilność operacyjną.
Polityki dotyczące cyberbezpieczeństwa
Grupa PZU wdrożyła szereg działań zapewniających operacyjną odporność cyfrową oraz ciągłość działania systemów IT, co pozwala jej na skuteczne zarządzanie incydentami bezpieczeństwa oraz utrzymanie stabilności infrastruktury cyfrowej.
Poniżej Grupa PZU przedstawia szczegółowy opis kluczowych polityk w zakresie cyberbezpieczeństwa*
„Polityka bezpieczeństwa PZU SA i PZU Życie SA”, wraz z aktami wewnętrznymi i decyzjami wydanymi w celu realizacji polityki, jest kompleksową i zupełną regulacją obejmującą obszary:
- bezpieczeństwa informacji
- przeciwdziałania przestępczości
- przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu • ciągłości działania
- bezpieczeństwa systemów IT
- bezpieczeństwa fizycznego oraz bezpieczeństwa i higieny pracy.
Kierujący biurami właściwymi do spraw obszarów o których mowa powyżej przedkładają Zarządowi corocznie, w drugim kwartale, raport z oceny poziomu zagrożeń bezpieczeństwa za poprzedni rok kalendarzowy. W obszarze bezpieczeństwa systemów IT odpowiedzialnym za przedłożenie raportu jest dyrektor Biura Cyberbezpieczeństwa.
Zarząd PZU na podstawie raportu może zobowiązać właściwe jednostki organizacyjne do podjęcia działań mających na celu obniżenie poziomu identyfikowanego zagrożenia bezpieczeństwa PZU i PZU Życie. Odbiorcami Polityki są Zarządy PZU i PZU Życie.
Polityka dotyczy pracowników PZU i PZU Życie oraz podmiotów zewnętrznych, które współpracują z PZU i PZU Życie na podstawie zawartych umów i porozumień.
Polityka kreuje również wspólne standardy bezpieczeństwa dla innych spółek Grupy PZU (nie dotyczy Banku Pekao i Alior Banku), które uczestniczą w osiąganiu celów bezpieczeństwa operacyjnego z wykorzystaniem wspólnych standardów bezpieczeństwa. W celu zapewnienia efektywnej współpracy w obszarze bezpieczeństwa w Grupie PZU oraz sprawnego zarządzania bezpieczeństwem w podmiotach zależnych (nie dotyczy Banku Pekao i Alior Banku) wprowadzono „Politykę zarządzania bezpieczeństwem w Grupie PZU”.
Polityka Bezpieczeństwa Informacji w Banku Pekao ustanawia ogólne zasady i reguły bezpieczeństwa informacji, stanowi rozwinięcie Strategii Bezpieczeństwa Teleinformatycznego w Banku Pekao i jest głównym dokumentem w tym obszarze. Uszczegółowieniem Polityki Bezpieczeństwa Informacji są dokumenty bezpieczeństwa informacji, które określają w jaki sposób należy realizować poszczególne zasady i reguły. Za aktualizację Polityki Bezpieczeństwa Informacji odpowiada Centrum Bezpieczeństwa Banku.
Polityka Bezpieczeństwa Informacji uwzględnia interesy kluczowych interesariuszy, w tym ochronę informacji dotyczących klientów oraz transakcji klientów, a także określa zasady postępowania dla pracowników banku niezależnie od pełnionej przez nich roli, a także stron trzecich.
Polityka Bezpieczeństwa Informacji określająca metody zarządzania i wymagania niezbędne dla zapewnienia w banku właściwej ochrony informacji, została przyjęta przez Zarząd Banku Pekao i opublikowana zgodnie z obowiązującymi w banku procedurami. Celem określenia jak należy realizować zasady i reguły zawarte w Polityce Bezpieczeństwa Informacji, Dyrektor Centrum Bezpieczeństwa Banku opracowuje i wydaje dokumenty bezpieczeństwa informacji. Informacja o opublikowaniu dokumentu bezpieczeństwa informacji lub o dokonanych w nim zmianach jest przekazywana w formie komunikacji wewnętrznej skierowanej do właściwych grup odbiorców. Każda osoba posiadająca dostęp do systemów informacyjnych banku, jest zobowiązana do zapoznania się z postanowieniami Polityki Bezpieczeństwa Informacji oraz dokumentów bezpieczeństwa informacji i ich bezwzględnego przestrzegania. Polityka ma również zastosowanie dla stron trzecich zaangażowanych w przetwarzanie informacji banku.
Strategia Bezpieczeństwa Teleinformatycznego w Banku Pekao określa założenia, na których opiera się Polityka Bezpieczeństwa Informacji oraz pozostałe dokumenty szczegółowe związane z bezpieczeństwem informacji w Banku Pekao. Najwyższą jednostką odpowiedzialną za wdrożenie strategii jest Centrum Bezpieczeństwa Banku. Strategia została opracowana zgodnie z przepisami prawa powszechnie obowiązującego oraz rekomendacjami organu nadzoru. Dokumenty wynikające z wyżej wymienionej Strategii uwzględniają ochronę informacji, w tym ochronę informacji elektronicznej, co ma na celu zabezpieczenie interesów banku, jego klientów i pracowników. Strategia została przyjęta i opublikowana zgodnie z obowiązującymi w banku procedurami.
Polityka Bezpieczeństwa Systemów teleinformatycznych w Alior Banku określa strukturę oraz podstawowe zasady funkcjonowania Systemu Zarządzania Bezpieczeństwem Teleinformatycznym w banku, m.in procedury i standardy ochrony informacji, dostosowując się do dynamicznych zmian rynkowych oraz nowych wymagań regulacyjnych. Obejmuje zarówno cyberbezpieczeństwo, jak i bezpieczeństwo informacji przetwarzanych w banku.
Bank przestrzega obowiązujących regulacji, w tym wymagań wynikających z roli operatora usługi kluczowej zgodnie z Ustawą o Krajowym Systemie Cyberbezpieczeństwa(implementującej wymagania dyrektywy NIS, bazującej na wymaganiach Polskiej Normy PN-EN ISO/IEC 27001). W procesie tworzenia i aktualizacji polityki uwzględnia interesy klientów oraz regulatorów, współpracując z Bankowym Centrum Cyberbezpieczeństwa ZBP i uczestnicząc w inicjatywach takich jak Forum Bezpieczeństwa Transakcji Płatniczych oraz Forum Threat Intelligence.
* W przypadku braku wskazania bezpośrednio w opisie polityki najwyższego poziomu w organizacji odpowiedzialnego za jej wdrożenie należy przyjąć za niego Zarząd odpowiadającego podmiotu
Procesy realizowane w zakresie działalności, służące utrzymaniu i poprawie cyberbezpieczeństwa
W oparciu o określone wcześniej polityki i procedury, Grupa PZU realizuje szereg procesów mających na celu poprawę cyberbezpieczeństwa. Obejmują one m.in. ochronę i monitorowanie zagrożeń, zintegrowane systemy ochrony ze współpracą między jednostkami, specjalistyczne procedury w podmiotach zależnych czy ogólny system monitorowania i raportowania. Procesy te zostały opisane obok.
Grupa PZU dąży do utrzymania najwyższego poziomu ochrony przed cyberzagrożeniami przez wdrażanie nowoczesnych technologii, monitorowanie zagrożeń oraz systematyczne podnoszenie świadomości pracowników. Ściśle kontrolowane procedury, audyty oraz współpraca z podmiotami zewnętrznymi zapewniają skuteczność w przeciwdziałaniu cyberatakom i ochronie danych oraz zasobów Grupy PZU.
W Grupie PZU(nie dotyczy Banku Pekao i Alior Banku) funkcjonuje system zarządzania cyberbezpieczeństwem obejmujący ciągłe monitorowanie, testowanie oraz wdrażanie rozwiązań zapewniających ochronę przed cyberzagrożeniami. Działania w tym obszarze są realizowane w ramach „Security Operations Center”, które zapewnia bieżącą kontrolę nad stanem bezpieczeństwa informatycznego.
Do kluczowych procesów Security Operations Center należą:
- monitorowanie i analiza zdarzeń z infrastruktury IT przy użyciu systemów SIEM („Security Information and Event Management”)
- weryfikacja podatności i zarządzanie ryzykiem cybernetycznym przez automatyczne skanowanie infrastruktury IT
- prowadzenie testów penetracyjnych, audytów kodu źródłowego oraz przeglądów systemów informatycznych
- kontrola dostępu do sieci oraz monitorowanie zagrożeń w cyberprzestrzeni
- aktywne proponowanie rozwiązań minimalizujących ryzyko oraz przeciwdziałających incydentom
- raportowanie stanu cyberbezpieczeństwa do zarządu oraz odpowiednich organów nadzorczych.
W ramach realizowanych procesów Grupa PZU (nie dotyczy Banku Pekao i Alior Banku) wprowadziła kompleksowe zasady zarządzania cyberbezpieczeństwem, które obejmują:
- przeglądy regulacyjne – coroczne weryfikacje wewnętrznych procedur i polityk pod kątem zgodności z przepisami powszechnie obowiązującymi oraz wytycznymi nadzorczymi
- szkolenia i kampanie edukacyjne – systematyczne podnoszenie świadomości pracowników dzięki szkoleniom, symulacjom ataków hakerskich oraz wewnętrznym portalom informacyjnym na temat cyberbezpieczeństwa
- system zarządzania incydentami – monitorowanie potencjalnych naruszeń, szybkie reagowanie na incydenty oraz ścisła współpraca z organami regulacyjnymi i jednostkami dochodzeniowymi
- audyty i testy zgodności – regularne kontrole wewnętrzne i zewnętrzne w celu zapewnienia wysokiej jakości zarządzania cyberbezpieczeństwem.
- Bank Pekao posiada dedykowane jednostki ds. cyberbezpieczeństwa, które monitorują i analizują stan środowiska IT. Bank wdrożył systemy zabezpieczeń zgodne z wymaganiami Komisji Nadzoru Finansowego, obejmujące plan reagowania na incydenty oraz zaawansowane mechanizmy wykrywania zagrożeń.
- Alior Bank stosuje narzędzia szacowania ryzyka, system wczesnego ostrzegania przed cyberatakami oraz zapewnia bieżące raportowanie o stanie cyberbezpieczeństwa do Zarządu.
Opisane we wcześniejszym rozdziale procesy stanowią istotną część informacji dotyczących podejścia Grupy PZU do tematyki cyberbezpieczeństwa. Kolejną kluczową kwestią są działania i zasoby służące do zarządzania istotnymi oddziaływaniami, ryzkiem i możliwościami. Działania te obejmowały m.in. tematyczne szkolenia dla pracowników, zarówno wdrożeniowe, jak i odświeżające, które poruszały kluczowe zagadnienia dotyczące ochrony danych, cyberbezpieczeństwa i przeciwdziałania przestępczości. Szczególną wagę Grupa PZU przywiązuje do podnoszenia świadomości pracowników przez kampanie edukacyjne oraz spotkania z ekspertami, które koncentrowały się na tematach bezpieczeństwa informacji i zagrożeń, takich jak dezinformacja. W 2024 roku wewnętrzne materiały informacyjne publikowano w intranecie, a eksperci prowadzili cykliczne spotkania online.
Oprócz działań edukacyjnych Grupa PZU inwestuje w rozwój i modernizację swoich systemów bezpieczeństwa IT. Regularnie przeprowadzane audyty i testy podatności, pozwalają Grupie PZU na wczesne wykrywanie i eliminowanie zagrożeń. Cyberbezpieczeństwo jest nieprzerwanie traktowane przez Grupę PZU jako kluczowy element strategii, obejmujący zarówno centralne struktury, jak i poszczególne podmioty zależne.
W ramach Grupy PZU istotnym elementem są również działania podejmowane przez Bank Pekao oraz Alior Bank, wchodzące w jej skład, które koncentrowały się na ochronie systemów informatycznych oraz edukacji pracowników i klientów.
Bank Pekao realizował w 2024 roku strategię bezpieczeństwa teleinformatycznego, koncentrując się na podniesieniu poziomu odporności na cyberzagrożenia środowiska teleinformatycznego banku, zwiększeniu poziomu ochrony informacji przetwarzanych przez bank oraz promowaniu wiedzy i dobrych praktyk umożliwiających lepszą ochronę systemów i gromadzonych danych. Bank wdrażał nowe rozwiązania technologiczne, organizował kampanie edukacyjne i prowadził komunikację wewnętrzną oraz zewnętrzną na temat cyberzagrożeń (np. za pośrednictwem strony internetowej banku, mediów społecznościowych, powiadomień w aplikacji mobilnej, audycji radiowych oraz webinariów). Bank organizował lub współorganizował wydarzenia o tematyce cyberbezpieczeństwa – np. kampania Bądźmy #CYBERczujni, program edukacyjny cyberPEKAO, w ramach którego pracownicy uczestniczyli w szkoleniach, a klienci mogli korzystać z webinariów i materiałów edukacyjnych o tematyce cyberbezpieczeństwa. Bank współpracuje z portalem CyberDefence24 poruszającym problematykę cyberbezpieczeństwa, na którym jest prowadzona specjalnie przygotowana strefa banku. Bank uczestniczy również w akcjach edukacyjno-informacyjnych z zakresu cyberbezpieczeństwa organizowanych przez Związek Banków Polskich.
Alior Bank prowadził w zakresie cyberbezpieczeństwa regularne testy kluczowych systemów IT przetwarzających dane klientów i obsługujących transakcje finansowe. Manualne testy oraz kwartalne automatyczne skany podatności pozwalają na bieżąco identyfikować i eliminować luki w systemach. Alior Bank posiada specjalistyczny zespół do całodobowego monitorowania bezpieczeństwa danych i transakcji klientów, analizujący nowe zagrożenia i dostosowujący zabezpieczenia. W 2024 roku pracownicy banku uczestniczyli w szkoleniach z zakresu cyberbezpieczeństwa, a ich wiedza była sprawdzana przez cykliczne testy phishingowe. Dla klientów i użytkowników końcowych Alior Bank realizował w 2024 roku kampanie promujące bezpieczeństwo i informujące o bieżących zagrożeniach za pośrednictwem strony internetowej, mediów społecznościowych, aplikacji mobilnej oraz strony Phishing-Stop. Alior Bank współpracuje również ze Związkiem Banków Polskich i realizuje działania edukacyjne na szeroką skalę.
Cele wyznaczone w odniesieniu do zarządzania istotnymi oddziaływaniami, ryzykiem i możliwościami związanymi z cyberbezpieczeństwem
Z uwagi na ich wpływ na bezpieczeństwo działalności, Grupa PZU podjęła decyzję o ujawnieniu jedynie ogólnego charakteru celów prowadzonych działań:
- minimalizacja ryzyka cyberataków oraz skuteczna ochrona danych, aplikacji i systemów przed nieuprawnionym dostępem
- ograniczenie szeroko pojętych ryzyk cyberbezpieczeństwa, w tym utraty poufności, integralności i dostępności informacji
- optymalizacja kosztowa i operacyjna systemów oraz narzędzi zapewniających bezpieczeństwo
- zabezpieczenie informacji i danych klientów, wzmacniając ich ochronę przed nieautoryzowanym wykorzystaniem.
Dalszy rozwój i plany na przyszłość
W 2025 rok Grupa PZU planuje dalsze wzmocnienie swojego cyberbezpieczeństwa realizując działania, które mają zapewnić ochronę przed rosnącymi zagrożeniami w świecie cyfrowym. 17 stycznia 2025 roku PZU i PZU Życie dostosowały się do wymagań rozporządzenia w sprawie operacyjnej odporności cyfrowej sektora finansowego – DORA.
Edukacja pozostaje jednym z filarów działań na rzecz dalszego rozwoju cyberbezpieczeństwa w Grupie PZU. Pracownicy będą mieli możliwość uczestniczenia w szkoleniach wdrożeniowych i odświeżających, które pomogą im lepiej zrozumieć nowe obowiązki wynikające z polityki sankcyjnej oraz zagrożeń cybernetycznych, z jakimi mogą się spotkać w codziennej pracy. Kampanie edukacyjne dostarczą niezbędnej wiedzy, a publikowane w intranecie PZU materiały będą stanowiły dodatkowe wsparcie w budowaniu świadomości na temat bezpieczeństwa IT.
Dodatkowo Grupa PZU planuje organizację spotkań online, na których zarówno wewnętrzni, jak i zewnętrzni eksperci będą dzielić się swoją wiedzą na temat zagrożeń związanych z socjotechniką i dezinformacją. Dzięki tym inicjatywom pracownicy i klienci będą mogli lepiej rozpoznawać potencjalne ataki i skuteczniej się przed nimi chronić.